Google แจ้งเตือนช่องโหว่ Zero-Day ใหม่บน Chrome ที่กำลังถูกนำไปใช้ในการโจมตีจริง

 

เมื่อวันอังคารที่ผ่านมา Google ได้ออกอัปเดตแพตช์เพื่อแก้ไขช่องโหว่ด้านความปลอดภัยถึง 230 รายการ ซึ่งรวมถึงช่องโหว่ Zero-Day บน Chrome ที่กำลังถูกนำไปใช้ในการโจมตีอยู่ในขณะนี้ โดยนับเป็นช่องโหว่ Zero-Day รายการที่ 7 ที่ได้รับการแก้ไขตั้งแต่ช่วงต้นปี

Google ระบุในประกาศคำแนะนำด้านความปลอดภัยเมื่อวันอังคารที่ผ่านมาว่า "Google รับทราบข้อมูลแล้วว่ามีโค้ด Exploit (CVE-2026-87491) ถูกนำไปใช้ในการโจมตีจริงแล้วในปัจจุบัน"

บริษัทได้เริ่มทยอยปล่อยอัปเดตเวอร์ชันที่ได้รับการแก้ไขแล้วสำหรับระบบ Windows (153.0.8010.36), Mac (153.0.8010.37) และ Linux (153.0.8010.36) ในแชนเนล Stable Desktop ภายในเวลาเพียง 2 วัน หลังจากที่ Jihyeon Jeong นักศึกษาฝึกงานฝ่ายวิจัยจาก Compsec Lab ของ Seoul National University ได้ทำการรายงานช่องโหว่ดังกล่าวแจ้งให้ทาง Google ทราบ

Google ระบุว่า อัปเดตด้านความปลอดภัยนี้อาจต้องใช้เวลาหลายวัน หรือหลายสัปดาห์กว่าจะกระจายไปถึงผู้ใช้ Chrome ทั่วโลกทั้งหมด แต่เมื่อทาง BleepingComputer ได้ลองตรวจสอบอัปเดตในช่วงเช้าวันนี้ พบว่าอัปเดตดังกล่าวพร้อมให้ติดตั้งแล้วในทันที

สำหรับผู้ใช้ที่ไม่ต้องการกดตรวจสอบอัปเดตด้วยตนเอง สามารถรอให้ระบบของ Chrome ทำการตรวจสอบการอัปเดตโดยอัตโนมัติ ซึ่งตัวแพตช์จะถูกติดตั้งทันทีเมื่อมีการปิด และเปิดเบราว์เซอร์ใหม่ในครั้งถัดไป

 

ช่องโหว่ Zero-Day ที่มีระดับความรุนแรงสูงนี้ มีหมายเลข CVE-2026-87491 โดยมีต้นตอมาจากช่องโหว่ประเภท Out-of-bounds write ใน V8 JavaScript และ WebAssembly engine ของ Chrome ซึ่งทำให้ผู้โจมตีจากภายนอกสามารถเจาะระบบเพื่อรันโค้ดอันตรายใด ๆ ก็ได้ตามที่ต้องการภายในระบบรักษาความปลอดภัย Sandbox ของเว็บเบราว์เซอร์ โดยหลอกให้ผู้ใช้เข้าไปยังหน้าเว็บ HTML ที่ถูกสร้างขึ้นมาโดยเฉพาะเพื่อทำการโจมตี

หากการเจาะช่องโหว่นี้สำเร็จ ผู้โจมตียังสามารถเข้าถึงข้อมูลที่อยู่นอกเหนือเขตพื้นที่ Memory buffer ผ่านทาง Heap corruption ซึ่งอาจส่งผลให้ข้อมูลสำคัญรั่วไหล หรือทำให้ระบบเกิดข้อผิดพลาดจนหยุดการทำงานลงได้

แม้ว่า Google จะระบุว่า รับทราบถึงการนำช่องโหว่ Zero-Day หมายเลข CVE-2026-87491 ไปใช้ในการโจมตีจริงแล้ว แต่ทางบริษัทยังไม่ได้เปิดเผยรายละเอียดเพิ่มเติมเกี่ยวกับการโจมตีเหล่านี้แต่อย่างใด

Google ระบุว่า "การเข้าถึงรายละเอียดของช่องโหว่ และ Links ต่าง ๆ อาจถูกจำกัดสิทธิ์ไว้จนกว่าผู้ใช้งานส่วนใหญ่จะได้รับการอัปเดตเพื่อแก้ไขช่องโหว่นี้แล้ว นอกจากนี้ จะยังคงจำกัดการเข้าถึงข้อมูลต่อไป หากพบว่าช่องโหว่ดังกล่าวมีอยู่ใน Library ของ Third-party ที่โปรเจกต์อื่น ๆ นำไปพึ่งพาการใช้งานด้วยเช่นกัน แต่ยังไม่ได้ทำการแพตช์แก้ไข"

นับตั้งแต่ช่วงต้นปีที่ผ่านมา Google ได้ดำเนินการแก้ไขช่องโหว่ Zero-Day ที่มีการถูกนำไปใช้ในการโจมตีจริงไปแล้วอีก 5 รายการ ดังนี้

• ช่องโหว่ประเภท Iterator invalidation (CVE-2026-2441) ใน CSSFontFeatureValuesMap (ส่วนการประมวลผล CSS font feature values ของ Chrome) ซึ่ง Google ได้ทำการแก้ไขไปเมื่อช่วงกลางเดือนกุมภาพันธ์
• ช่องโหว่ Zero-Day บน Chrome อีก 2 รายการที่ถูกนำไปใช้ในการโจมตีจริงในเดือนมีนาคม ได้แก่: ช่องโหว่ประเภท Out-of-bounds write ใน Skia 2D graphics library (CVE-2026-3909) และช่องโหว่ประเภท Inappropriate implementation ใน V8 JavaScript และ WebAssembly engine (CVE-2026-3910)
• ช่องโหว่ประเภท Use-after-free ใน Dawn (CVE-2026-5281) ซึ่งเป็นระบบการทำงานข้ามแพลตฟอร์มที่เป็นพื้นฐานของมาตรฐาน WebGPU ที่ใช้ในโปรเจกต์ Chromium โดย Google ได้ทำการแพตช์แก้ไขไปเมื่อเดือนเมษายน
• ช่องโหว่ประเภท Type confusion ใน V8 (CVE-2026-85046) ซึ่งได้รับการแก้ไขไปเมื่อช่วงต้นเดือนที่ผ่านมา

ก่อนหน้านี้ในปี 2025 Google ได้ดำเนินการแก้ไขช่องโหว่ Zero-Day ที่มีการนำไปใช้ในการโจมตีจริงไปแล้วถึง 8 รายการ โดยช่องโหว่ส่วนใหญ่ได้รับรายงานมาจากทีม Threat Analysis Group (TAG) ของ Google เอง ซึ่งเป็นทีมที่มีชื่อเสียงในการติดตามแกะรอยการใช้ช่องโหว่ Zero-Day เพื่อการโจมตีด้วย Spyware

ที่มา : bleepingcomputer